Requisiti

Appliance CorellixOS

CorellixOS si installa su macchine virtuali o hardware fisico. Il dimensionamento dipende da quanti oggetti raccogliete e da quanto storico conservate.

Nodo

	Minimo (valutazione)	Consigliato (produzione)
vCPU	8	16
Memoria	32 GB	64 GB
Disco di sistema	200 GB	500 GB SSD/NVMe
Rete	1 GbE	10 GbE

Il disco di sistema contiene l’immagine, il cluster e i volumi persistenti. Con molte piattaforme collegate e ritenzioni lunghe pianificate, prevedete un disco dedicato ai dati.

Numero di nodi

Nodi	Che cosa ottenete
1	Ambiente completo e funzionante. Nessuna tolleranza ai guasti: la perdita del nodo è la perdita del servizio.
3	Quorum etcd, repliche Longhorn, PostgreSQL in replica, servizi ridondati. Configurazione consigliata in produzione.
5+	Come sopra, con più capacità e margine di manutenzione.

Due nodi non aggiungono disponibilità rispetto a uno: il quorum di etcd richiede la maggioranza, e con due nodi la perdita di uno la fa venir meno. Si passa da 1 a 3.

Consiglio

L’espansione è a caldo. Si parte da un nodo e se ne aggiungono altri quando serve, senza reinstallare: Warden si occupa di far entrare il nuovo nodo nel cluster e di riallineare le repliche dello storage.

Hypervisor supportati per la VM dell’appliance

L’immagine CorellixOS gira su qualunque hypervisor in grado di avviare una VM Linux x86-64 con UEFI. Sono verificate: Nutanix AHV, VMware vSphere, Microsoft Hyper-V, XenServer / XCP-ng, Proxmox VE, KVM.

Rete

Indirizzi

Servono, oltre a un IP per nodo, un indirizzo IP libero per il VIP del cluster, nella stessa subnet dei nodi. Il VIP è l’indirizzo a cui punta il DNS e non cambia quando un nodo cade.

DNS

Il wizard di configurazione chiede un base domain (predefinito corellix.loc) e vi mostra i record da creare sul vostro DNS interno. Sono record A che puntano tutti al VIP. Elenco completo e criteri in Hostname e porte.

Un dominio sotto un TLD privato (.loc, .local, .internal) è perfettamente supportato, ma comporta una conseguenza: nessuna CA pubblica potrà mai emettere un certificato per quei nomi. Il certificato arriverà quindi dalla CA interna della piattaforma o dalla vostra PKI, e la sua radice va distribuita ai client. Vedi Certificati e TLS.

Porte in ingresso verso l’appliance

Porta	Da chi	Per cosa
443/TCP	Browser, agent, integrazioni	Tutto il traffico applicativo (portale, API, ingest, documentazione)
8443/TCP	Amministratori	Citadel, la console dell’appliance
22/TCP	Amministratori	Solo per la procedura di break-glass

Traffico in uscita

Dipende dalla modalità di connettività scelta:

• Connected — accesso a ghcr.io e github.com per immagini e aggiornamenti.
• Proxy-only — gli stessi endpoint attraverso il proxy HTTP(S) configurato, con allow-list.
• Air-gapped — nessuno. Gli aggiornamenti arrivano da bundle importati.

Piattaforme sorgente

Ogni connettore ha bisogno di raggiungere l’API della propria piattaforma e di un’utenza per farlo. Il principio è sempre lo stesso: utenza dedicata, in sola lettura, salvo per le funzionalità che modificano davvero qualcosa (provisioning, azioni sulle VM, PAM), che richiedono privilegi corrispondenti e vanno abilitate consapevolmente.

Piattaforma	Raggiungibilità	Utenza tipica
Nutanix Prism Central	9440/TCP	Utente con ruolo Viewer
VMware vCenter	443/TCP	Ruolo Read-only sul livello richiesto
Hyper-V / SCVMM	WinRM 5985-5986/TCP	Account di dominio con lettura su Hyper-V
XenServer / XCP-ng	443/TCP	Utente con ruolo read-only
Proxmox VE	8006/TCP	Token API con ruolo PVEAuditor
Citrix VAD	80/443/TCP verso i Delivery Controller	Read-only administrator del sito
Citrix Cloud	Internet	Client ID e secret di un’API client
Omnissa Horizon	443/TCP verso il Connection Server	Amministratore in sola lettura
Parallels RAS	20443/TCP	Utente RAS con lettura
Azure Virtual Desktop	Internet	Registrazione applicativa Entra ID, ruolo Reader
NetScaler ADC	443/TCP (NITRO)	Utente read-only
Array storage	API HTTPS del vendor	Utente monitor/read-only
Sistemi di backup	API HTTPS del vendor	Utente in sola lettura
Kubernetes	API server	ServiceAccount con ClusterRole di lettura
Apparati di rete	SNMP v2c o v3	Community o utenza SNMPv3

I requisiti specifici del singolo connettore, con gli oggetti che raccoglie, sono in Connettori.

Agent

Gli agent sono opzionali: servono per la visibilità dentro le macchine, che le API degli hypervisor non danno.

	User Agent	Infra Agent
Dove si installa	Desktop virtuali, session host	Server
Sistemi operativi	Windows 10/11, Windows Server 2016+	Windows Server 2016+, Linux (distribuzioni con systemd)
Che cosa raccoglie	Applicazioni installate e in uso, sessioni, informazioni di sistema	Servizi, database, certificati, licenze, probe di rete, eventi
Come comunica	HTTPS verso agents.<base domain>	HTTPS verso agents.<base domain>
Privilegi	Servizio di sistema	Servizio di sistema

Non è richiesta alcuna porta in ingresso sulle macchine con agent: la comunicazione è sempre iniziata dall’agent verso la piattaforma.

Browser

Il portale richiede un browser aggiornato con supporto a ES2022: Chrome, Edge, Firefox o Safari nelle versioni correnti. Le console remote incorporate usano WebSocket e, per il client HDX, SharedArrayBuffer: entrambi disponibili nelle versioni supportate.